本文へスキップ
BecomeCoder

AWS SAP（ソリューションアーキテクト プロフェッショナル）コース　·　第2章　マルチアカウント統治とガバナンス　·　レッスン8

AWS Control Tower とランディングゾーン

導入

Organizations と SCP を手作業で組み立てるのは可能ですが、ベストプラクティスに沿った初期構築には手間がかかります。AWS Control Tower は、そのマルチアカウント環境の「土台（ランディングゾーン）」を自動で構築してくれるサービスです。

説明

AWS Control Tower は、Organizations・SCP・ログ集約・監査アカウントなどを、ベストプラクティスに沿って自動セットアップするサービスです。この初期構築済みの環境を ランディングゾーン（Landing Zone） と呼びます。

Control Tower を有効化すると、自動で次が作られます。

自動で作られるもの内容
基本OU構成Security OU（ログ／監査アカウント）などが自動作成される
ログアーカイブアカウント組織全体のCloudTrail・Configログを集約する専用アカウント
監査アカウントセキュリティチームが横断的に読み取り監査するための専用アカウント
ガードレールあらかじめ用意された「必須」「推奨」のSCP・Config ルール群

Control Tower の「ガードレール」は3種類に分類されます。

種類意味実装の裏側
予防的（Preventive）そもそも操作自体をできなくするSCP
検出的（Detective）望ましくない状態が起きたことを検知するAWS Config ルール
プロアクティブ（Proactive）リソース作成前に非準拠を弾くCloudFormation フック

新しいアカウントを増やす作業は Account Factory という機能でセルフサービス化できます。あらかじめ承認されたテンプレート（ネットワーク設定・ガードレール適用済み）に沿って、新規アカウントを数クリック（またはAPI・Service Catalog経由）で発行できるため、「アカウント発行を申請してから数日待つ」という運用負荷をなくせます。

flowchart TD
    CT["AWS Control Tower"] --> LZ["ランディングゾーン<br/>（Organizations + OU + SCP を自動構築）"]
    LZ --> LOG["ログアーカイブアカウント"]
    LZ --> AUDIT["監査アカウント"]
    CT --> AF["Account Factory"]
    AF --> NEW["新規アカウントを<br/>ガードレール適用済みで自動発行"]

具体例

急成長したスタートアップが「これから全社でAWSのマルチアカウント統治を始める」場面です。手作業で組むと大変な初期構築を、Control Towerが肩代わりします。

Control Towerを有効化した瞬間に、ログアーカイブアカウント・監査アカウント・基本OU・必須ガードレール（SCP/Configルール）がベストプラクティスどおり自動でそろいます。ゼロから設計すれば数週間かかる作業が数時間に。

さらに効くのがAccount Factory。以前は新規事業ごとに「アカウント発行を申請 → 情シスが手作業で設定 → 数日待つ」だったのが、承認済みテンプレート（ネットワーク・ガードレール適用済み）から数クリックでセルフサービス発行へ。現場の俊敏性が上がります。

ただしトレードオフもあります。すでにOrganizationsで独自の統治を作り込んだ大企業が、Control Tower配下へ完全移行するのは手間とリスクが大きい。だからSAPでは、Control Towerは「新規に立ち上げる／これから統治を強化する」文脈で正解になり、「既存の作り込みがある」文脈では慎重に、と読み分けます。

読んでみよう

「ゼロからマルチアカウント環境を素早く、ベストプラクティスに沿って構築したい」という要件が出たら Control Tower が第一候補です。既に Organizations で独自運用している大規模組織を Control Tower 配下に完全移行するのは実務上コストが高いため、SAPでは「新規に立ち上げる／これから統治を強化する」文脈で Control Tower が選ばれることを意識してください。

次のレッスンへ →